[การมีส่วนร่วม] คดี Coupang ที่พบในแบบอย่างของ Sony, 'การกำกับดูแลความปลอดภัยของข้อมูล' ขึ้นเพื่อการตัดสิน

ในปี 2014 ศาลรัฐบาลกลางในเขตทางใต้ของรัฐแคลิฟอร์เนียได้ตัดสินคดีประวัติศาสตร์ในประวัติศาสตร์ของการฟ้องร้องเรื่องข้อมูลรั่วไหลใน 'คดีการละเมิดความปลอดภัยของข้อมูลของ Sony Gaming Networks (ใน Sony Gaming Networks อีกครั้ง)' เนื่องจากศาลในขณะนั้นตัดสินอย่างชัดเจนว่าการเรียกร้องทางกฎหมายใดจะยังคงอยู่และสิ่งใดจะถูกยกฟ้อง และนำเสนอ 'ตำราเรียนพื้นฐาน' สำหรับคดีความที่คล้ายกันในอนาคตเพื่ออ้างอิงถึง ในการฟ้องร้องดำเนินคดีในนามกลุ่ม Coupang, Inc. ที่กำลังดำเนินอยู่ คาดว่าการต่อสู้ทางกฎหมายที่มีรายละเอียดและซับซ้อนมากขึ้นจะเกิดขึ้นจากกรณีตัวอย่างนี้

ความแตกต่างที่สำคัญที่สุดระหว่างเคสของ Sony และ Coupang อยู่ที่กรอบที่กำหนดเคส เหตุการณ์ของ Sony เกิดขึ้นจากสถานการณ์ที่ PlayStation Network (PSN) ถูกแฮ็กในปี 2554 ส่งผลให้ข้อมูลผู้ใช้ประมาณ 77 ล้านคนรั่วไหลและบริการหยุดชะงัก ในเวลานั้นคดีทั้งหมดมุ่งเน้นไปที่ "ข้อมูลรั่วไหล" ข้อกังวลหลักก็คือ มีการบุกรุกจากภายนอกหรือไม่ และ Sony ได้ใช้มาตรการรักษาความปลอดภัยที่สมเหตุสมผลทางเทคนิคหรือไม่

ในทางกลับกัน เหตุการณ์คูปังมี 'ความล้มเหลวด้านการปกครอง' เป็นวาระหลักโดยพื้นฐานแล้ว นอกเหนือจากความประมาทเลินเล่อทางเทคนิคของความล้มเหลวในการป้องกันการโจมตีจากภายนอกแล้ว ยังเกี่ยวข้องกับความล้มเหลวโดยรวมของระบบปฏิบัติการทั่วโลกและโครงสร้างการจัดการความปลอดภัยที่มีศูนย์กลางอยู่ที่บริษัทในสหรัฐฯ ระดับของการดำเนินคดีได้ขยายไปสู่ขอบเขตความรับผิดชอบของการจัดการ ซึ่งจะตรวจสอบว่าใครเป็นผู้รับผิดชอบในการตัดสินใจด้านความปลอดภัย และมีการละเลยเชิงโครงสร้างหรือไม่

อุปสรรคประการแรกในคดีการรั่วไหลของข้อมูลส่วนบุคคลในศาลรัฐบาลกลางของสหรัฐอเมริกาคือสถานะของโจทก์ได้รับการยอมรับภายใต้รัฐธรรมนูญหรือไม่ ในกรณีของ Sony ก่อนหน้านี้ ศาลเน้นไปที่ข้อเท็จจริงที่ว่าข้อมูลส่วนบุคคลถูกละเมิด และเปิดประตูสู่คุณสมบัติของโจทก์ในวงกว้าง แต่ใช้มาตรฐานที่เข้มงวดมากในขั้นตอนการพิจารณาความรับผิดในการชดใช้ค่าเสียหาย เชื่อกันว่าความเสี่ยงเชิงนามธรรมของความไม่มีเสถียรภาพเนื่องจากข้อมูลรั่วไหลเพียงอย่างเดียวไม่เป็นไปตามข้อกำหนดสำหรับการชดเชย ในขณะนั้น ศาลยกฟ้องข้อเรียกร้องจำนวนหนึ่งที่ไม่มี "ความเสียหายตามความเป็นจริง" ที่พิสูจน์ได้ เช่น การใช้ข้อมูลส่วนบุคคลในทางที่ผิดหรือการพยายามฉ้อโกง รวมถึงค่าใช้จ่ายต้นทุนเฉพาะและการเสียเวลา กล่าวอีกนัยหนึ่ง ประเด็นสำคัญที่ได้รับจากกรณีตัวอย่างของ Sony คือผลลัพธ์ของกรณีข้อมูลส่วนบุคคลไม่ได้ขึ้นอยู่กับว่าเหตุการณ์การรั่วไหลเกิดขึ้นหรือไม่ แต่ขึ้นอยู่กับวิธีจัดโครงสร้างและพิสูจน์ความเสียหายเฉพาะที่เกิดขึ้น ดังนั้น ความสำเร็จหรือความล้มเหลวของคดีความของ Coupang จึงสามารถเห็นได้ขึ้นอยู่กับว่าความเสียหายที่เกิดขึ้นจริง เช่น ต้นทุนการจัดการการโจรกรรมข้อมูลส่วนบุคคล หรือความเสียหายที่เกิดจากการรั่วไหล เช่น การสูญเสียทางการเงินที่เกิดขึ้นจริง ได้รับการระบุไว้ในเชิงตรรกะอย่างไร

แนวทางทางกฎหมายก็จำเป็นต้องเปลี่ยนแปลงเช่นกัน ในช่วงเวลาแห่งการตัดสินของ Sony ศาลได้ยกฟ้องข้อเรียกร้องจากความประมาทเลินเล่ออย่างแท้จริง (ความประมาทเลินเล่อ) จำนวนมาก โดยอ้างว่า "โดยหลักการแล้ว ความเสียหายทางเศรษฐกิจเป็นขอบเขตของกฎหมายสัญญา" ในทางกลับกัน การเรียกร้องจำนวนมากตามกฎหมายคุ้มครองผู้บริโภคแห่งรัฐแคลิฟอร์เนีย (UCL, FAL, CLRA) ได้รับการยอมรับแล้ว เนื่องจากพระราชบัญญัติคุ้มครองผู้บริโภคมุ่งเน้นไปที่การแสดงพฤติกรรมหลอกลวงของบริษัทต่างๆ ศาลตัดสินตามคำแถลงที่บริษัทแสดงเกี่ยวกับระดับความปลอดภัย ไม่ว่าข้อความเหล่านั้นขัดแย้งกับสถานะความปลอดภัยหรือการรับรู้ความเสี่ยงที่รับรู้ภายในบริษัทในขณะนั้นหรือไม่ และผลที่ตามมาคือผู้บริโภคเข้าใจผิดอย่างสมเหตุสมผลหรือไม่ แนวโน้มนี้คาดว่าจะยังคงมีผลในคดีคูปังเช่นกัน ปัญหาสำคัญอยู่ที่ว่าบริษัทหลอกลวงผู้บริโภคโดยไม่รักษาสัญญาของ 'การเข้ารหัสมาตรฐานอุตสาหกรรม' หรือ 'ความปลอดภัยที่เหมาะสม' แทนที่จะรับผิดชอบต่อความประมาทเลินเล่อซึ่งมีความเป็นไปได้ต่ำที่จะชนะ กล่าวอีกนัยหนึ่ง การเชื่อมโยงการหลอกลวงผู้บริโภคและความล้มเหลวในการกำกับดูแลด้านความปลอดภัย ถือเป็นจุดเชื่อมโยงสำคัญในการฟ้องร้องคดีนี้

สิ่งสำคัญที่สุดที่ควรทราบคือการขยายเชิงคุณภาพของ Discovery หากการค้นพบเหตุการณ์ในอดีตของ Sony ถูกจำกัดอยู่เพียงการยืนยันความเพียงพอของมาตรการรักษาความปลอดภัยทางเทคนิค ขอบเขตของเหตุการณ์ Coupang ก็ควรขยายให้ครอบคลุมถึงคณะกรรมการบริหารและฝ่ายบริหารด้วย เนื่องจากเราต้องทำมากกว่าแค่ 'ระบบรักษาความปลอดภัยอยู่ในสถานที่หรือไม่' และตรวจสอบว่า 'ใครทิ้งระบบที่มีช่องโหว่ไว้โดยไม่มีใครดูแลและอยู่ภายใต้โครงสร้างองค์กรใด' ความเข้าใจอย่างใกล้ชิดเกี่ยวกับสายการรายงานของผู้บริหาร การจัดสรรงบประมาณด้านความปลอดภัย และโครงสร้างการตัดสินใจที่สำนักงานใหญ่ของสหรัฐอเมริกาจะเป็นกุญแจสำคัญในการฟ้องร้องคดีนี้

ในท้ายที่สุด คดีความของ Coupang คาดว่าจะไม่เพียงแต่เป็นไปตามตำราเรียนของคดี Sony เท่านั้น แต่จะใช้คดีนี้เป็นก้าวสำคัญในการพัฒนาไปสู่การต่อสู้ทางกฎหมายขั้นสูงที่ทำให้สำนักงานใหญ่ของบริษัทระดับโลกต้องรับผิดชอบ คดีนี้ซึ่งแสวงหาความรับผิดชอบในการกำกับดูแลที่นอกเหนือไปจากความประมาทเลินเล่อทางเทคนิค จะกลายเป็นมาตรฐานการพิจารณาคดีใหม่ที่จะกำหนดขอบเขตความรับผิดชอบด้านความปลอดภัยข้อมูลของบริษัทระดับโลกใหม่ในอนาคต

● การมีส่วนร่วมของนักเขียนภายนอกอาจแตกต่างจากแนวทางบรรณาธิการของเรา

นักข่าว คิม ดงซิก kds77@kyeonggi.com

[ดูบทความเต็ม]
[การมีส่วนร่วม] คดี Coupang ที่อิงตามคำฟ้องของ Sony, "การกำกับดูแลความปลอดภัยของข้อมูล" บนบัลลังก์ (ทางลัด)